WhatsApp因違反GDPR遭愛爾蘭資料保護委員會開罰2.25億歐元
愛爾蘭資料保護委員會（Data Protection Commission，DPC）於今（2021）年9月宣告WhatsApp Ireland Limited（下稱WhatsApp）違反歐盟一般資料保護規則（General Data Protection Regulation，GDPR）並處以高額裁罰。
DPC自2018年12月起主動調查WhatsApp是否違反GDPR下的透明化義務，包括WhatsApp透過其軟體蒐集用戶與非用戶的個人資料時，是否有依GDPR第12條至第14條提供包括個資處理目的、法律依據等相關資訊，以及該資訊有無符合透明化原則等，其中又以WhatsApp是否提供「如何與其他關係企業（如Facebook）分享個資」之相關資訊為調查重點。
歷經長時間的調查，DPC作為本案領導監管機關（lead supervisory authority），於2020年12月依GDPR第60條提交裁決草案予其他相關監管機關（supervisory authorities concerned）審議。惟DPC與其他相關監管機關就該裁決草案無法達成共識，DPC復於今年6月依GDPR第65條啟動爭議解決程序，而歐洲資料委員會（European Data Protection Board）在同年7月對裁決草案中的疑義做出有拘束力之結論，要求DPC提高草案中擬定的罰鍰金額。
DPC最終在今年9月2日公布正式裁決，認定WhatsApp未依第12條至第14條提供資訊予「非軟體用戶」之資料主體，而「軟體用戶」的部分也僅有41%符合規範，嚴重違反GDPR第5(1)(a)條透明化原則。據此，以母公司Facebook全集團營業額作為裁罰基準，DPC對WhatsApp處2.25億歐元之罰鍰，為GDPR生效以來第二高的裁罰，並限期3個月改善。
- 零售業個資保護及資訊安全教育講習
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
江佳芸
副法律研究員 編譯整理
Data Protection Commission (Ireland), Data Protection Commission announces decision in WhatsApp inquiry, Sep. 2, 2021, https://www.dataprotection.ie/index.php/en/news-media/press-releases/data-protection-commission-announces-decision-whatsapp-inquiry (last visited Oct. 19, 2021).
Data Protection Commission (Ireland), Decision in the matter of WhatsApp Ireland Limited made pursuant to Section 111 of the Data Protection Act 2018, Aug. 20, 2021, https://edpb.europa.eu/system/files/2021-09/dpc_final_decision_redacted_for_issue_to_edpb_01-09-21_en.pdf (last visited Oct. 19, 2021).
EDPB, Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR, July 28, 2021, https://edpb.europa.eu/system/files/2021-09/edpb_bindingdecision_202101_ie_sa_whatsapp_redacted_en.pdf, (last visited Oct. 19, 2021).
Jeanne Kelly, WhatsApp Decision and the Data Protection Commission, Sep. 16, 2021, https://www.lexology.com/library/detail.aspx?g=caffc629-642b-4a36-a1b1-21890700b152 (last visited Oct. 19, 2021).
A&L Goodbody, WhatsApp decision considers scope of transparency obligations under the GDPR, Sep. 24, 2021, https://www.lexology.com/library/detail.aspx?g=b72881aa-6bf8-4f0d-af40-e8f9736e357d (last visited Oct. 19, 2021).
英國發布《AI保證介紹》指引，藉由落實AI保證以降低AI系統使用風險 資訊工業策進會科技法律研究所 2024年03月11日 人工智慧（AI）被稱作是第四次工業革命的核心，對於人們的生活形式和產業發展影響甚鉅。各國近年將AI列為重點發展的項目，陸續推動相關發展政策與規範，如歐盟《人工智慧法》（Artificial Intelligence Act, AI Act）、美國拜登總統簽署的第14110號行政命令「安全可靠且值得信賴的人工智慧開發暨使用」（Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence）、英國「支持創新的人工智慧監管政策白皮書」（A Pro-innovation Approach to AI Regulation）（下稱AI政策白皮書）等，各國期望發展新興技術的同時，亦能確保AI使用的安全性與公平性。 壹、事件摘要 英國科學、創新與技術部（Department for Science, Innovation and Technology，DSIT）於2024年2月12日發布《AI保證介紹》（Introduction to AI assurance）指引（下稱AI保證指引），AI保證係用於評測AI系統風險與可信度的措施，於該指引說明實施AI保證之範圍、原則與步驟，目的係為讓主管機關藉由落實AI保證，以降低AI系統使用之風險，並期望提高公眾對AI的信任。 AI保證指引係基於英國政府2023年3月發布之AI政策白皮書提出的五項跨部會AI原則所制定，五項原則分別為：安全、資安與穩健性（Safety, Security and Robustness）、適當的透明性與可解釋性（Appropriate Transparency and Explainability）、公平性（Fairness）、問責與治理（Accountability and Governance）以及可挑戰性 與補救措施（Contestability and Redress）。 貳、重點說明 AI保證指引內容包含：AI保證之適用範圍、AI保證的三大原則、執行AI保證的六項措施、評測標準以及建構AI保證的五個步驟，以下將重點介紹上開所列之規範內容： 一、AI保證之適用範圍： （一）、訓練資料（Training data）：係指研發階段用於訓練AI的資料。 （二）、AI模型（AI models）：係指模型會透過輸入的資料來學習某些指令與功能，以幫助建構模模型分析、解釋、預測或制定決策的能力，例如GPT-4。，如GPT-4。 （三）、AI系統（AI systems）：係利用AI模型幫助、解決問題的產品、工具、應用程式或設備的系統，可包含單一模型或多個模型於一個系統中。例如ChatGPT為一個AI系統，其使用的AI模型為GPT-4。 （四）、廣泛的AI使用（Broader operational context）：係指AI系統於更為廣泛的領域或主管機關中部署、使用的情形。 二、AI保證的三大原則：鑒於AI系統的複雜性，須建立AI保證措施的原則與方法，以使其有效執行。 （一）、衡量（Measure）：收集AI系統運行的相關統計資料，包含AI系統於不同環境中的性能、功能及潛在風險影響的資訊；以及存取與AI系統設計、管理的相關文件，以確保AI保證的有效執行。 （二）、評測（Evaluate）：根據監管指引或國際標準，評測AI系統的風險與影響，找出AI系統的問題與漏洞。 （三）、溝通（Communicate）：建立溝通機制，以確保主管機關間之交流，包含調查報告、AI系統的相關資料，以及與公眾的意見徵集，並將上開資訊作為主管機關監理決策之參考依據。 三、AI保證的六項措施：主管機關可依循以下措施評測、衡量AI系統的性能與安全性，以及其是否符合法律規範。 （一）、風險評估（Risk assessment）：評測AI系統於研發與部署時的風險，包含偏見、資料保護和隱私風險、使用AI技術的風險，以及是否影響主管機關聲譽等問題。 （二）、演算法－影響評估（Algorithmic－impact assessment）：用於預測AI系統、產品對於環境、人權、資料保護或其他結果更廣泛的影響。 （三）、偏差審計（Bias audit）：用於評估演算法系統的輸入和輸出，以評估輸入的資料、決策系統、指令或產出結果是否具有不公平偏差。 （四）、合規性審計（Compliance audit）：用於審查政策、法律及相關規定之遵循情形。 （五）、合規性評估（Conformity assessment）：用於評估AI系統或產品上市前的性能、安全性與風險。 （六）、型式驗證（Formal verification）：係指使用數學方法驗證AI系統是否滿足技術標準。 四、評測標準：以國際標準為基礎，建立、制定AI保證的共識與評測標準，評測標準應包含以下事項： （一）、基本原則與術語（Foundational and terminological）：提供共享的詞彙、術語、描述與定義，以建立各界對AI之共識。 （二）、介面與架構（Interface and architecture）：定義系統之通用協調標準、格式，如互通性、基礎架構、資料管理之標準等。 （三）、衡量與測試方式（Measurement and test methods）：提供評測AI系統的方法與標準，如資安標準、安全性。 （四）、流程、管理與治理（Process, management, and governance）：制定明確之流程、規章與管理辦法等。 （五）、產品及性能要求（Product and performance requirements）：設定具體的技術標準，確保AI產品與服務係符合規範，並透過設立安全與性能標準，以達到保護消費者與使用者之目標。 五、建構AI保證的步驟（Steps to build AI assurance） （一）、考量現有的法律規範（Consider existing regulations）：英國目前雖尚未針對AI制定的法律，但於AI研發、部署時仍會涉及相關法律，如英國《2018年資料保護法》（Data Protection Act 2018）等，故執行AI保證時應遵循、考量現有之法律規範。 （二）、提升主管機關的知識技能（Upskill within your organisation）：主管機關應積極了解AI系統的相關知識，並預測該機關未來業務的需求。 （三）、檢視內部風險管理問題（Review internal governance and risk management）：須適時的檢視主管機關內部的管理制度，機關於執行AI保證應以內部管理制度為基礎。 （四）、尋求新的監管指引（Look out for new regulatory guidance）：未來主管機關將制定具體的行業指引，並規範各領域實踐AI的原則與監管措施。 （五）、考量並參與AI標準化（Consider involvement in AI standardisation）：私人企業或主管機關應一同參與AI標準化的制定與協議，尤其中小企業，可與國際標準機構合作，並參訪AI標準中心（AI Standards Hubs），以取得、實施AI標準化的相關資訊與支援。 參、事件評析 AI保證指引係基於英國於2023年發布AI政策白皮書的五項跨部會原則所制定，冀望於主管機關落實AI保證，以降低AI系統使用之風險。AI保證係透過蒐集AI系統運行的相關資料，並根據國際標準與監管指引所制定之標準，以評測AI系統的安全性與其使用之相關影響風險。 隨著AI的快速進步及應用範疇持續擴大，於各領域皆日益重要，未來各國的不同領域之主管機關亦會持續制定、推出負責領域之AI相關政策框架與指引，引導各領域AI的開發、使用與佈署者能安全的使用AI。此外，應持續關注國際間推出的政策、指引或指引等，研析國際組織與各國的標準規範，借鏡國際間之推動作法，逐步建立我國的AI相關制度與規範，帶動我國智慧科技產業的穩定發展外，同時孕育AI新興產應用的發展並打造可信賴、安全的AI使用環境。
自資料流通機制建置擴大資料經濟市場自資料流通機制建置擴大資料經濟市場 資訊工業策進會科技法律研究所 2020年03月25日 壹、事件摘要 過往，我國之資料開放政策著力於「政府資料開放」，並將之提供予民眾及企業運用。推動上，提出主動開放，民生優先、制定開放資料規範、推動共用平台及示範宣導與服務推廣四大策略，整體成效斐然，已獲國際肯認。然而，伴隨網際網路資通訊技術的發展，智慧聯網技術的進步，人工智慧（artificial intelligence, AI）、物聯網（Internet of Things, IoT）、區塊鏈、AR/VR等涉及資料運用之新興科技相繼萌芽，觸發對資料的大量需求。 特別是我國在新興科技領域之新創企業，為扣合「少量、多樣、個人化」的長尾型市場（Long Tail Market）發展趨勢，以形塑可應對少數大量應用、重視產品或服務客製化特性之商業模式[1]，資料更是驅動其成長不可或缺的石油。只是勘查我國私部門資料開放現況，首先是《個人資料保護法》等法令遵循事宜，致使企業釋出資料意願較低；次者是跨國大企業資料霸權時代下，新創、中小企業難以在資料獲取上與之競爭；其三則是即便已有資料交易管道，仍尚乏可提升資料交易透明度、信任度及品質之措施可循。是以，亟待相應措施緩解上開問題。 觀測國際間促進私部門資料釋出與流通之作法，一者係透過中介作為決定資料釋出與否之交易模式（如美國之資料仲介）；二者係回歸資料自主理念，由個人決定資料是否釋出之形式（如歐盟My Data 、日本情報銀行）。為回應上開問題，本文擇定日本以個人為出發點之資料流通措施為例，研析其促進資料交易流通所採行之制度與服務模式，期能作為我國擬訂資料經濟促進措施時，可攻錯的他山之石。 貳、重點說明 一、日本情報銀行制度建立背景 日本在資料流通與運用所面臨的挑戰，與我國同樣面臨個資法遵、資料交易信任度不足以及難與資料霸權者相競爭的困境。 據研究顯示，單以日本100家主要的線上購物網站為對象調查，即有高達一半比例的業者將用戶資料與外部各方共享而未具體向用戶明示，甚至未提供用戶拒絕提供資料的方式。由於普遍發生個人資料由營運業者蒐集後，進行目的外利用，致使在資料共用及利用上，容易因為業者未充分解釋利用之資料內容及對用戶的好處，而降低用戶同意或協力提供資料之意願[2]。此外，日本也意識到多數資訊被GAFA（Google、Apple、Facebook、Amazon）等大型網路服務業者掌控，從而壓縮日本本土業者的生存空間 [3]，為避免未來資料可能會被大型網路服務業者所壟斷，不利未來日本資通訊與數位化社會發展，日本政府認為有必要建立被個人信任的第三方制度協助處理資料，以鞏固國家資料價值發展能量。 為此，日本提出情報銀行概念，並且由總務省與經濟產業省於2017年11月至2018年4月間相繼召開6次「資料信託功能認定機制檢討會」（情報信託機能の認定スキームの在り方に関する検討会），檢討具備資料信託功能之「情報銀行」認定基準及契約建議記載事項[4]，期藉此機制形塑有利（個人）資料流通之模式[5]。 二、日本情報銀行制度介紹 （一）情報銀行架構 日本情報銀行架構係建立於其既有的PDS（Personal Data Stores）及資料交易市場平台之上。所謂PDS是由個人管理、儲存資料的機制，並可提供予第三方使用資料，還可分為由個人擁有終端載具，自行管理個人資料的分散型，以及由個人委託營運商（即提供服務之第三方）儲存與管理資料的集中型。至於資料交易市場，則係一種對供需雙方進行仲介，促使雙方通過買賣等方式進行交易之機制。是以，資料交易市場本身具有媒合之功能，但以匿名化資料及非屬個人資料為大宗。由於資料交易市場的仲介性質，須保持中立性，本身不會參與資料之蒐集、保存、處理和交易活動。 情報銀行則是自資料交易市場衍生，同時結合了PDS之特性，因此資料銀行本身會進行資料的蒐集、保存、處理和交易行為，並根據與個人簽訂之契約，利用PDS系統管理個人資料，按個人指示或其預先設定之條件管理個人資料，必要時對資料作匿名化，以提供予第三方使用。 圖 1日本個人資料交易架構 資料來源: 21世紀政策研究所，データ利活用と產業化，2018年5月。 （二）情報銀行功能－資料信託 情報銀行的建立，相當性地將顛覆過往GAFA（Google、Apple、Facebook、Amazon）公司的商業模式。 透過情報銀行機制，過往資料持有業者提供匿名加工、統計資料交易模式下，所無法克服獲取個人同意的難題將可獲得解消。情報銀行基於以個人為中心的資料活用精神，導入「資料信託」作法大幅度提升個人資料利、活用之意願。 資料信託之「信託」，並不一定係指法律上的信託概念，而是類似信託一樣的做法，係屬一種經濟關係，分別由信託人（資料主體）、受託人（資料銀行）及受益人（可能是信託人本人）所組成[6]。具體來說，信託人通過信託行為，預先指定或設定條件將其資料信託予受託人，並由受託人按信託人設定信託之目的，為其管理個人資料，並應善盡管理個人資料之義務。 情報銀行以信託方式進行個人資料管理，可能從事個人資料匿名化、協助談判交易條件、監控資料使用方式、代收和管理使用費以及支付與管理個人利益[7]等五類事項。 （三）情報銀行之驗證系統與運作機制 為確保資料流通基礎的安全性、資料流通情形揭露之透明性以及情報銀行業者之可靠性，總務省在2018年10月偕同日本IT團體聯盟組成「情報銀行推進委員會」，設計「情報信託機能驗證指引」（2018年6月發布第1版；2019年10月提出第2版）作為情報銀行驗證之基礎。只是，該驗證並不具強制性，未取得者仍可進行情報銀行之業務，僅係藉由驗證手段建立社會大眾對情報銀行之信心[8]。而就情報銀行的驗證基準，可分成業者資格、資料安全、資料治理及業務內容，分述如下： 業者資格：能擔保資料安全，具損害賠償能力的法人； 資料安全：須確保資訊安全與隱私受到足夠的保障，並定期更新隱私標章或驗證，以符合個資法與相關法規之要求； 管理體系：建立管理體系以明確管理職責，籌組「資料倫理審查會」，委員包括工程師、安全專家、法律從業者、資料倫理專家、消費者等，情報銀行並須定期向資料倫理審查會報告； 業務內容：情報銀行應明確揭示所開展業務，尤其是涉及個人資料範圍時，應揭示取得方法與使用目的。情報銀行在提供個人資料予第三方時，須明確對第三方的判斷標準、流程與使用目的。 截至2020年2月為止，日本IT團體聯盟進行了三波情報銀行認定，共三井住友信託銀行、FiliCa Pocket Marketing、J.Score、中部電力株式會社等四家業者通過情報銀行認證[9]。 除了推行建立情報銀行驗證系統外，日本總務省考量業者與資料主體間地位的不平等，以及業者在擬定資料信託契約上，或可能需要由政府提供一定程度提示，一併推出資料信託機能定型化契約應記載事項，敘明契約應涵蓋如情報銀行業務範圍、權利義務、損害賠償等內容，以明確情報銀行和個人間就資料利用之目的、範圍以及權責關係。其中，特別的是，由於日本《個人資料保護法》對於個人資料之蒐集、處理及利用係以個人同意為基礎開展，是故，在資料信託機能定型化契約應記載事項中特別就此明示情報銀行應該按照個人事前同意的範圍為個人控制資料。只是，如何解釋事前同意的範圍，整體來說，所同意的範圍必須是個人可以預測的範圍內進行解釋和操作。再者，為了確保個人資料的可控性，針對資料需求者再提供資料予其他第三人情況，強調必須就第三方和使用目的適度獲得個人同意才可為之。 值得一提的是，情報銀行必須設置「資料倫理審查委員會」諮詢體制，就情報銀行業務考量其適當性並提供建議，包含：個人與情報銀行間契約內容、使用情報銀行信託個人資料之目的、將信託資料提供予第三方之條件等[10]。 參、事件評析 一、我國現況 我國自行政院2012年第3322次院務決議推動政府資料開放以來，持續就政府資料開放不斷精進，包含2015年建置資料開放規範與相關環境[11]、2017年討論個人資料運用與政府資料開放政策，提出以民為本的「數位服務個人化（My Data）」，打造「一站式」服務措施[12]。實質上，已隱然含有回歸資料自主理念，由個人決定資料是否釋出之精神。 我國所推行之My Data服務可分為二種，一是按照個人需求，透過平台讓個人可下載自己的個人資料；二是透過線上服務授權，由民眾授權政府或民間業者取得個人資料，如醫療、戶政、教育、金融、勞健保或水電等方面之資料，再由相關領域之業者提供民眾所需的整合式個人化服務[13]。惟目前我國在My Data應用上，仍是以民眾自行下載政府機關所蒐集資料，再由民眾依其意願與需求提供予政府機關或民間企業為主，整體上，相當程度緩解《個人資料保護法》的限制，直接由資料主體釋出資料予資料利用者；藉由個人控制自己資料形式突圍資料霸權現象。但在建立資料交易透明度與信任度上，仍尚乏相應機制；在推行資料流通機制並擴大資料經濟市場之作為上，尚未有如同日本情報銀行機制等資料流通機制做為橋樑，協助弭平私部門資料流通最後一哩路之障礙。 二、我國未來制度設計方向建議 誠如前述，我國My Data機制現階段仍以公部門持有之個人資料為主，較缺乏私部門持有之個人資料。究其原因主要有三，一為業者釋出資料時，有其《個人資料保護法》等法令遵循上之成本及考量；二是社會普遍就個人資料被利用之情況的信任度不足；三則係欠缺誘因鼓勵業者或個人將資料釋出。 是以，或許如同日本情報銀行之作法，藉由可信任之第三方作為資料流通基盤，鼓勵促進個人資料加值再利用，避免私部門運用時囿於法規範而有所侷限。只是，於此必須注意日本情報銀行機制採用之資料信託，倘欲轉化為適於我國現行法規者，或需考量資料本身性質並非財產權之範疇，無法作為信託契約標的情形，而宜採行委任契約作法為妥。此外，在信任度與透明度建立上，日本通過驗證機制和資料倫理委員會的審查制度雙重管控做法，亦值得我國未來設計資料流通機制時引為借鏡。 肆、結語 有鑑於資料逐漸成為影響競爭力的重要因素，且如今大量的個人資料皆掌握在國外大型網路服務商手中，為有效提升我國業者的國際競爭力，政府或可參考日本情報銀行之模式，由民間機構分別負責驗證、擔任情報銀行之角色，並引入資料倫理審查會，透過公正之第三方審查資料流通平台業者是否公允，以促成資料經濟發展與保障個人資料之環境的形成。 [1]趙祖佑、周駿呈、涂家瑋，〈物聯網應用發展趨勢與商機─資料經濟篇〉，頁18-19（2015）。 [2]データ流通環境整備検討会，〈AI、IoT時代におけるデータ活用ワーキンググループ 中間とりまとめ〉，頁5（2017/3）。 [3]松ヶ枝優佳，〈データ主義時代の新たな銀行「情報銀行」とはなにか〉，Open Innovation Japan，2019/03/11，https://jbpress.ismedia.jp/articles/-/55684?page=4（最後瀏覽日：2020/02/19）。 [4]周晨蕙，〈日本公布資料信託功能認定指引ver1.0並進行相關實驗〉，科技法律研究所，2018/10，https://stli.iii.org.tw/article-detail.aspx?no=55&tp=1&i=156&d=8115（最後瀏覽日：2020/02/19）。 [5]情報信託機能の認定スキームの在り方に関する検討会，〈情報信託機能の認定に係る指針ver2.0〉，2019/10，https://www.soumu.go.jp/main_content/000649152.pdf（最後瀏覽日：2020/02/19）。 [6]辰巳 憲一，〈個人情報信託の経済分析～プライバシー情報を保護しながら信託で一元管理する～〉，学習院大学経済論集第48巻第2号，頁98（2011/7）。 [7]同前註。 [8]Jiji, Japan Grants Certification for First Time to ‘Information Banks’, The Japan Times (July 9, 2019), https://www.japantimes.co.jp/news/2019/07/09/business/japan-grants-certification-first-time-information-banks/#.XkymJygzZhE (last visited Feb. 19, 2020). [9]一般社団法人日本IT団体連盟，〈日本IT団体連盟、「情報銀行」認定（第１弾）を決定〉，2019/06/26，https://itrenmei.jp/topics/2019/3646/；一般社団法人日本IT団体連盟，〈日本IT団体連盟、「情報銀行」認定（第２弾）を決定〉，2019/12/25，https://www.itrenmei.jp/topics/2019/3652/；一般社団法人日本IT団体連盟，〈日本IT団体連盟、「情報銀行」認定（第３弾）を決定〉，2020/02/17，https://www.itrenmei.jp/topics/2020/3657/（最後瀏覽日：2020/02/19）。 [10]日本IT團體聯盟，「情報銀行」の推進に向けた取組みについて，2019年9月30日。 [11]國家發展委員會，〈政府資料開放〉，https://www.ndc.gov.tw/Content_List.aspx?n=9B973A5871579AC7（最後瀏覽日：2020/02/20）。 [12]國家發展委員會，〈數位服務個人化（My Data）〉，https://www.ndc.gov.tw/cp.aspx?n=8B6C9C324E6BF233&s=460617D071481C4B（最後瀏覽日：2020/02/20）。 [13]王若樸，〈國發會My Data政策未來怎麼走？學者建議應跨產業推動資料治理〉，iThome，2019/09/12，https://www.ithome.com.tw/news/133002（最後瀏覽日：2020/02/20）。
IMDRF於2025年3月提出《醫療器材監管依賴計畫操作手冊》草案，促進國際監管的一致性與產品流通性一、緣起與目標 「依賴制度（reliance）」指一國有效利用他國的審查結果，而減少重複作業、提升效率，並促進病人更快取得安全、有效產品的政策。為此，國際醫療器材法規管理論壇（International Medical Device Regulators Forum, IMDRF）於2025年3月提出《醫療器材監管依賴計畫操作手冊》（Playbook for Medical Device Regulatory Reliance Programs）草案，協助各國建立與管理依賴制度。惟此制度並非「無條件接受他國決策」或「國際換證」，而須由各國自行決定如何利用依賴制度，並承擔最終監管責任。 二、應用範圍 該手冊適用於所有醫療器材（含體外診斷器材）或輔具，並涵蓋產品生命週期各階段（如技術文件審查或品質管理系統驗證等）。 三、依賴機制的類型 手冊歸納三類依賴機制並舉例說明： 1.工作共享（Work-sharing）：指多國協作進行監管任務，可為聯合評估、聯合檢查，或共同推出監管標準等。如IMDRF推出的「醫療器材單一稽查計畫」，訂定多國之驗證機構對製造商的統一稽核標準，使廠商受稽後所作成的稽查報告可一次性符合數國法規。 2.簡化審查（Abridged Review）：以他國完整的審查成果作為基礎，僅針對當地「特有」及「新增」的風險進行審查。如新加坡健康科學局已實施簡審制度。 3.承認（Recognition）：正式接受他國監管決策結果作為判斷依據，可分為單、雙、多邊的承認。如CE標誌的醫材可在歐盟27個成員國內通行。 四、結語 IMDRF並非藉由該手冊推行「最佳模式」，而是協助各國依需求發展適合的監管依賴策略，加強協作與資源共享，進而促進全球監管上的一致性與產品流通性。近年世界衛生組織及區域組織（如歐盟、東協、非洲聯盟發展署）越加重視各國監管法規的一致性，並將審查資源移向人工智慧或高風險醫材的監管探索中，此監管趨勢值得我國持續關注。
德國法院依據歐盟法院先決裁定發出第一例禁制令2015年11月3日德國杜塞道夫地方法院（以下稱德國法院）依據歐盟法院之《華為訴中興》案(Huawei v ZTE case, 16 July 2015, Case C- 170/13)的先決裁判發出第一例禁制令(Cases 4a O 144/14) (Nov. 3, 2015)。這個判決係義大利公司SISVEL公司認為青島海爾德國公司（以下稱海爾公司）侵害其有關GPRS及 UMTS無線網路專利組合之標準專利，並已經對海爾公司發出專利侵權通知，並發出授權要約，海爾公司則抗辯認為，SISVEL僅通知其母公司而未通知其分公司，且其授權要約不符合FRAND原則。 德國法院認為，SISVEL只要將足夠的專利侵權資訊及授權要約通知海爾母公司進而據以判斷是否與SISVEL展開授權協商即可，若要求專利權人亦須一一通知其分公司，則將流於形式。 其次，海爾公司雖因認為SISVEL要求之授權金過高，故拒絕SISVEL的授權要約並提出反向要約，但卻未在提出反向要約後之合理期間內依據歐盟法院在《華為訴中興》案先決裁判中之見解，對SISVEL提供保證金以擔保其授權協議尚未達成前對SISVEL專利之使用費用。故德國法院進一步對前述合理期間給予確切期間，即拒絕專利權人要約時起一個月內。 至於海爾公司主張SISVEL授權要約不符合FRAND原則之抗辯，德國法院認為因海爾公司未履行前述程序，故尚無須判斷SISVEL授權要約是否FRAND原則。故何種情形屬於符合FRAND原則，仍留由後續之實務見解加以補充。